由Meta案看數位資料商業化面臨之跨國問題
於2023年5月22日愛爾蘭資料保護委員會（Ireland's Data Protection Commission, DPC）對於Facebook的母公司Meta將歐盟境內資料傳輸到美國的行為做出開罰12億歐元的決定，並暫停資料跨境傳輸行為，再次引起了各界對於資料跨境傳輸的關注。
針對跨國提供網路服務的企業，如何確保企業處理資料的方式可以符合多國的法規要求，向來是一困難的問題。自從2015年「安全港隱私準則」（Safe Harbour Privacy Principles）被歐盟法院宣告失效後，美國與歐盟試圖就資料跨境傳輸重新達成一個可符合雙方要求的框架，包含2020年被歐盟法院宣告無效的「隱私盾框架」（EU-US Privacy Shield Framework），而2022年3月雙方達成原則性同意的歐盟美國資料隱私框架（EU-U.S. Data Privacy Framework, DPF），惟就美國於同年10月發布用以實施之行政命令（EO 14086），亦於2023年5月被歐洲議會認為對於歐盟境內資料的保護不足。
2023年6月8日英國跟美國共同發布建立英美資料橋（UK-US data bridge）的聯合聲明，以建立起英美之間的資料流動機制，但該英美資料橋是基於歐盟美國資料隱私框架做進一步的擴展，能否符合歐盟對於資料保護的要求，目前尚無法預期。
目前的商業模式中資料跨境傳輸是難以避免的現實困境，各國亦就資料跨境傳輸建立框架，企業需持續關注自身營業所在地之法規變化，以即時因應調整自身管理機制。
本文同步刊登於TIPS網站（https://www.tips.org.tw/）
- Shiona McCallum, Meta: Facebook owner fined €1.2bn for mishandling data, BBC NEWS, May 28, 2023
- Ana Hadnes Bruder, Oliver Yaros, David A. Simon & Salome Peter, European Parliament Adopts Resolution About the Draft US Adequacy Decision , MAYER BROWN, Jun. 6, 2023
- Jan-Luca Jorzyk* & Amancaya Schmitt, The “Trans-Atlantic Data Privacy Framework” – Finally a Legally Secure Data Transfer to the United States? , Littler, May 17, 2023
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
莊越程
高級法律研究員 編譯整理
Shiona McCallum, Meta: Facebook owner fined €1.2bn for mishandling data, BBC NEWS, May 28, 2023, https://www.bbc.com/news/technology-65669839 (last visited Jun. 19, 2023).
Ana Hadnes Bruder, Oliver Yaros, David A. Simon & Salome Peter, European Parliament Adopts Resolution About the Draft US Adequacy Decision , MAYER BROWN, Jun. 6, 2023, https://www.mayerbrown.com/en/perspectives-events/publications/2023/06/european-parliament-adopts-resolution-about-the-draft-us-adequacy-decision (last visited Jun. 19, 2023).
Jan-Luca Jorzyk* & Amancaya Schmitt, The “Trans-Atlantic Data Privacy Framework” – Finally a Legally Secure Data Transfer to the United States? , Littler, May 17, 2023, https://www.littler.com/publication-press/publication/trans-atlantic-data-privacy-framework-finally-legally-secure-data (last visited Jun. 19, 2023).
科法觀點
必載規定修法動態與爭點 科技法律研究所 2012年4月9日 壹、修法動態 我國無線電視數位化後，頻道大幅增加，必載義務規定將影響有線電視系統的頻道安排與營運規劃，依照最新黨團協商結論，有線廣播電視法修草第33條第1至3項規定：「系統經營者應同時轉播依公共電視法設立之公共電視之節目及廣告，不得變更其形式及內容，並應列為基本頻道。但經中央主管機關許可者，不在此限。（第一項）系統經營者為前項轉播，不構成侵害著作權，免付費用，亦不得向訂戶收取任何費用。（第二項）系統經營者應同時轉播民營無線電視事業所指定之一個頻道節目及廣告，不得變更其形式及內容，並應列為基本頻道。但法律另有規定或經中央主管機關許可者，不在此限。（第三項）」同草案第36條第1項則規定：「系統經營者播送之頻道節目及廣告，應依著作權法或其他相關法規取得合法授權。」就上開兩條文做體系觀察，可得出有線電視雖對民營無線電視台所指定之一個頻道負必載義務，但在授權協商未完成前，可予以先行下架、拒絕轉播。但無線電視業者卻反對，主張「數位無線頻道全部必載、且無須付費」。 貳、論點研析與本文建議 一、應注意國際公約之遵守 我國必載規範最早見於1998年著作權法第56條之1第2項：「有線電視之系統經營者得提供基本頻道，同時轉播依法設立無線電視臺播送之著作，不得變更其內容。」使必載不須經著作財產權人同意，屬免費轉播，與伯恩公約第9條第2項及TRIPS第13條有關合理使用之規定不符，引起其他國家關切，而於2003年修正時刪除。惟同樣的規定仍然存續於有廣法中，相背國際公約問題未獲解決。無線電視頻道內所有節目，須向節目原始著作權利人取得授權。若規定有線電視業者須必載所有無線電視頻道，卻不構成著作權之侵害，將連帶使得無線電視業者無須向節目原始著作權利人取得於有線電視系統播送之授權，損及節目原始權利人之利益。 二、有線電視業者之頻道空間與「基本頻道空間」仍具有限性，立法不宜過度限制其權利，仍應以必載一個頻道為宜 從美國的法制經驗觀之，確保資訊多樣性、大眾免費收視之利益與促進市場競爭三項實質政府利益，並未因無線電視數位化而消失，數位必載仍有需要，只是全部必載可能構成多頻道平臺業者逾越必要程度的負擔。故系統業者僅須負擔必載無線電視業者自選群播中一個頻道串流的義務。我國目前有線電視系統未完全數位化，若全部必載民營無線電視共12個數位頻道，且列為頻道空間有限且訂閱戶最多的基本頻道，將導致有線電視業者獲利減損，恐過度限制有線電視業者的廣電與財產自由。我國無線電視已極趨弱勢，必載的確可確保無線電視業者的廣告收入，進而維持經營以保資訊多樣性，仍有必要繼續採行必載規則，惟必載頻道應僅由無線電視業者選擇其一可謂足夠。 三、我國民營無線電視台不屬非商業無線電視台，應輔導其回歸商業競爭，充實數位無線電視臺之動能 非商業無線電視台主要係補充商業電視因追求收視率與廣告收入，所造成特定資訊缺乏而設。商業無線電視台的全部必載恐對多頻道平臺業者投入於商業競爭上之努力，造成搭便車之效果，進而減損無線電視業者自身技術創新與節目開發之誘因。適切輔導無線電視業者競爭閱聽眾之眼球，如英國之共同傳輸的數位無線電視平臺，才能使無線電視業者更有效利用具高度公益性的無線頻譜。 四、無線電視業者間對必載規範與定位時有內部爭議，應仿照美國法制，設計可符合不同業者需求之「必載／再傳輸同意」選擇權框架 法研議修正之初，無線電視業者內部即有不同意見與需求，有意欲與有線電視業者進行載送之商業協商者，亦有傾向免付費必載者。若完整引進美國法制的精神，由無線電視業者自行選擇必載或行商業協商載送，不但可滿足當前不同無線電視業者間的歧異；亦因法制具有彈性，而有不因業者商業上成功與失敗之變化而須頻繁修法之利。
美國總統簽署《強化美國訊號情報活動命令》，具體落實美歐跨大西洋資料保護框架美國總統拜登於2022年10月簽署了《強化美國訊號情報活動行政命令》（Executive Order On Enhancing Safeguards For United States Signals Intelligence Activities），指示美國將採取哪些步驟以落實歐盟與美國間資料隱私架構下的承諾。其目的在於解決歐盟法院（Court of Justice of the EU）在2020年7月的Schrems II判決中宣布隱私盾協議（EU-U.S. Privacy Shield framework）無效時所提出的疑慮與問題。 新的行政命令為美國的情報監視活動規定了某些「隱私和公民自由保護措施」，並且為非美國人制定了一種新的權利救濟管道，該行政命令主要規定了以下幾點： 1.規定美國的訊號情報活動應為必要的，並且符合有效的情報優先事項。 該行政命令規定，美國的訊號情報只有在「促進有效情報優先事項所必需」，並且「只有在與授權事項相襯的範圍與方式下」才能進行。該命令規定，基於了解或評估對美國、其盟友或夥伴的國家安全構成當前或潛在威脅的國外組織的能力、意圖或活動；防止由外國政府、外國組織或外國個人實施或代表其實施的恐怖主義、劫持人質；以及了解或評估影響全球安全的跨國威脅等目的，可以對某些合法目標進行情報偵察活動。且不得對與新聞自由、異議、思想或政治觀點的自由表達造成限制或使其立於不利地位，也不得蒐集商業訊息；這些訊息的蒐集僅限用於美國、其盟友或夥伴的國家安全。 2.規定訊號情報活動蒐集到的個人資料之處理方式。 針對通過訊號情報活動所蒐集的個人資料，美國情報系統在處理資料的每個環節必須建立制度和相關程序，以盡量減少個人資料的傳輸和保存環節。且只有在適用法規允許蒐集、保留美國人特定類型的資訊之情況下，才能夠保留非美國人的該類型訊息，不得因被蒐集資料的對象並非美國人而有所差異。並要求資訊處理的單位人員保持適當的培訓，以確保相關人員能夠理解規範的要求。 3.規定非美國人的權利救濟程序，以審查美國情報界的訊號情報活動。 在此行政命令頒布後60天內，國家情報總監（DNI）在與美國司法部和情報界各部門協商後，針對非美國人「藉由相應國家機構所移轉符合資格之投訴」建立處理程序。而美國的司法部長可以與國務卿、商務部長和DNI進行協商，將一個國家或是經濟區域、組織指定為符合資格的國家或是國際群體，其人民可以進行權利救濟。DNI的公民自由保護辦公室（Civil Liberties Protection Officer, CLPO）將對這些非美國人的申訴進行審查，並於必要時進行適當的補救措施，包含刪除未經合法授權獲得的資料，或是將合法蒐集資料的訪問權限限制於經過適當培訓的人員。 4.建立資料保護審查法院，以審查CLPO對於合格申訴的判定結果。 新成立的資料保護審查法院應任命針對資料隱私和國家安全法領域具備適當經驗的法律從業人員來擔任法官。投訴人可於CLPO做出決定後，向該法院申請審查CLPO的決定。
歐盟《2022年前瞻策略報告》聚焦於新地緣政治之綠能與數位轉型歐盟於2022年6月29日提出《2022年前瞻策略報告：新地緣政治下之綠能與數位轉型雙生》（Twinning the green and digital transitions in the new geopolitical context，以下簡稱《2022年前瞻策略報告》），促進氣候與數位的協同和一致性，以面對現今與2025年的挑戰。歐盟主席Ursula Gertrud von der Leyen曾於2019年指出，綠能與數位轉型為首要的任務；鑒於俄羅斯與烏克蘭之戰爭，歐洲正加速提升於氣候與數位之全球性領導地位，聚焦於能源、糧食、國防與尖端技術之關鍵挑戰。《2022年前瞻策略報告》提出願景與雙生轉型（twin transitions）互動的整體分析，考量新興技術的角色，和地緣政治、社會、經濟與法規的因素，以塑造雙生，相互強化，並降低戰略依賴。 《2022年前瞻策略報告》確立十大關鍵行動，以擴大機會並減少源於雙生的潛在風險。該關鍵行動分別為： 1、在變化的地緣政治環境，歐盟需在轉型的關鍵領域中，持續強化其彈性與開放戰略的自主權。 2、歐盟須致力於促進全球的雙生轉型。 3、歐盟須策略性的管理關鍵商品的供應鏈，以達成雙生轉型，並保持其經濟上之競爭力。 4、在轉型的過程中，歐盟須強化社會與經濟上的凝聚。 5、教育與訓練系統須能適應新的社會經濟現實。 6、額外的投資須能轉向於支持技術與基礎設施。 7、引導轉型須有穩健與可信賴的監控框架。 8、具未來性與敏捷性的歐盟立法框架，須以單一市場為核心，將有利於具持續性的商業模型與消費模式。 9、制訂標準（Setting standards）為雙生和確定歐盟朝競爭持續性發展的關鍵。 10、更強健的網路安全與資料共享框架必須對潛在的雙生技術解鎖。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
國際保險公司探討奈米保險機制可行性特定奈米科技經歷研發階段過後，所獲致的成熟技術產品，要邁向市場商業化階段，能否真正成功，取決於市場消費大眾能否具有信心願意採用。而奈米科技由於新興發展存有未知之不確定風險，所以有論者開始規劃研擬，引進責任保險機制，藉由責任風險分散之功能，期望解決面對不確定風險時，能夠足以妥適因應。 依據國際最具份量之瑞士再保公司（Swiss Re） 對於奈米科技之保險機制，2008年出版「奈米科技：微小物質，未知風險（Nanotechnology--Small Matter, Many Unknowns：The Insurers' Perspective）」研究報告 ，其中明文點出，保險業（Insurance Industry）之核心業務即為移轉風險（Transfer of Risk），由保險公司（Insurer）經過精算程序後收取一定費用，適時移轉相關風險，並產生填補功能。 然而，保險業對於可藉由保險機制所分散之風險，亦有其極限範圍，如果超過以下三原則者，則會被認為超出可承擔風險範圍，屬保險業無力去承擔者，所以保險機制之引進將不具可行性： （1）風險發生之可能機率與發生嚴重程度，現行實務沒有可行方式能加以評估者。 （2）當危害產生時，所造成之影響為同時擴及太多公司、太多產業領域、或太廣的地理區域者。 （3）有可能產生的巨大危害事件，已超過私領域保險業所能承受之範圍者。 此外，為確保未來得以永續經營，保險公司對於願意承保之可保險性（Insurability）端視對於以下各因素性質之評估： （1）可加以評估性（Accessibility）：對於所產生之損害係屬可評估，並得以加以計量化、允許訂出價格者（be Quantifiable to Allow Pricing）。 （2）無可事先安排者（Randomness）：對於保險事故之發生，必須是不可預測者，並且其所發生必須獨立於被保險者本身主觀意志（the Will of the Insured）之外。 （3）風險相互團體性（Mutuality）：相關保險者必須基於同時參加並組成共同團體性，藉以達到分擔分散相關風險性。 （4）經濟上可行性（Economic Feasibility）：必須使私人保險公司藉由收取適宜保費，便得以支付對等之賠償費用，可以確保業務經營得以永續持續下去。 綜上所述，可以明瞭並非所有風險，保險公司均願意承保而能達到分散風險者，對於風險必須是可預測性並有承保價值，保險公司本身具有商業機制，依據精算原則確定願意承保之費用，此才可謂實務上可行，對於奈米科技引進保險機制之衡量思考，也當是如此。